Zo'n twaalfhonderd koelsystemen van fabrikant Copeland, waaronder 48 in Nederland, zijn online toegankelijk en lopen daardoor risico te worden gehackt. Eerder bleken ook honderden koelsystemen van fabrikant Danfoss via het internet benaderbaar te zijn, waaronder 26 in Nederland. Supermarkten maken gebruik van deze systemen. Eerder deze week wisten aanvallers bij honderden Franse supermarkten de koelinstallaties te hacken en temperatuur te verhogen. Het ging om koelsystemen van Danfoss, Copeland en Dixwell.

Eerder werd al bekend dat de Danfoss-koelsystemen verschillende kwetsbaarheden bevatten waar de aanvallers misbruik van maakten, waaronder een dagelijks veranderend wachtwoord dat op de datum van de huidige dag is afgeleid. De systemen van Copeland bevatten ook soortgelijke kwetsbaarheden. Cybersecuritybedrijf Claroty publiceerde afgelopen augustus een analyse van twee kwetsbaarheden waardoor ongeauthenticeerde aanvallers Copeland-koelsystemen op afstand kunnen overnemen en saboteren.

De eerste 'authentication bypass' wordt aangeduid als CVE-2026-25085. Het gaat om een logicafout die zich voordoet bij onverwachte gebruikersinvoer. De software van Copeland verwacht dat gebruikers bij het inloggen gebruikmaken van een gedefinieerde autorisatiemode. Wanneer een aanvaller in het inlog request een niet herkende autorisatiemode opgeeft, wordt het request niet geweigerd, maar geeft de authenticatiefunctie een lege tabel terug.

In de Lua-programmeertaal wordt elke tabelstructuur, ook een lege, als een "truthy" conditie beschouwt. Het Copeland-systeem kijkt alleen of er iets wordt teruggeven, in plaats van te controleren wat de inhoud hiervan is. Een aanvaller die tijdens het inloggen een 'anomalous authorization string' opgeeft kan zodoende het systeem iets laten teruggeven, wat voldoende is om toegang tot de admin API te krijgen.

'Predictable daily backdoor'
Dan is er ook nog een tweede authentication bypass, die onderzoekers van Claroty de 'predictable daily backdoor' noemen (CVE-2026-21718). De software gebruikt een algoritme voor het genereren van de administrator SSH en webinterface wachtwoorden gebaseerd op de huidige datum, MAC-adres en hardcoded cryptografische keys in de firmware. Zowel de datum als het MAC-adres zijn publiek toegankelijk. Een aanvaller die het algoritme weet te achterhalen kan zo het geldige admin-wachtwoord afleiden en daarmee de SSH of Shellinabox interfaces inschakelen.

De kwetsbaarheden werden in februari van dit jaar bekendgemaakt. Ook kwam Copeland met een update. Op basis van de aanvallen op Franse supermarkten meldde de Franse overheid dat hierbij ook ongepatchte Copeland-koelsystemen waren getroffen. De autoriteiten riepen supermarkten en andere bedrijven op om hun koelsystemen up-to-date te houden en niet toegankelijk vanaf het publieke internet te maken.

The Shadowserver Foundation is een stichting die onderzoek doet naar kwetsbare systemen op internet. Het monitort ook online toegankelijke koelsystemen. Eerder deze week meldde de stichting dat honderden Danfoss-koelsystemen online zijn te vinden. Het ging ook om 26 systemen in Nederland. Nu is er een online scan gedaan naar Copeland-koelsystemen, wat twaalfhonderd systemen opleverde. Het grootste deel bevindt zich in Italië en België. In Nederland werden 48 Copeland-systemen aangetroffen. Ook The Shadowserver Foundation benadrukt dat deze systemen niet direct aan het internet horen te hangen.